基本的なシステム設定

手順

1. インストール概要 画面から、ネットワークとホスト名 をクリックします。
2. 左側のペインのリストから、インターフェイスを選択します。詳細が右側のペインに表示されます。

3. ON/OFF スイッチを切り替えて、選択したインターフェイスを有効または無効にします。

   インターフェイスを手動で追加または削除することはできません。

4. + をクリックして、仮想ネットワークインターフェイスを追加します。仮想ネットワークインターフェイスは、チーム (非推奨)、ボンド、ブリッジ、または VLAN のいずれかです。
5. - を選択して、仮想インターフェイスを削除します。
6. 設定 をクリックして、既存のインターフェイスの IP アドレス、DNS サーバー、またはルーティング設定 (仮想と物理の両方) などの設定を変更します。

7. ホスト名 フィールドに、システムのホスト名を入力します。

   ホスト名は、hostname.domainname 形式の完全修飾ドメイン名 (FQDN)、またはドメインなしの短縮ホスト名のいずれかにします。多くのネットワークには、自動的に接続したシステムにドメイン名を提供する DHCP (Dynamic Host Configuration Protocol) サービスがあります。DHCP サービスがこのシステムにドメイン名を割り当てるようにするには、短縮ホスト名のみを指定します。

   ホスト名に使用できるのは、英数字と - または . のみです。ホスト名は 64 文字以下である必要があります。ホスト名は、- および . で開始したり終了したりできません。DNS に準拠するには、FQDN の各部分は 63 文字以下で、ドットを含む FQDN の合計の長さは 255 文字を超えることができません。

   localhost の値は、ターゲットシステムの静的ホスト名が指定されておらず、(たとえば、DHCP または DNS を使用する NetworkManager による) ネットワーク設定時に、インストールされるシステムの実際のホスト名が設定されることを示しています。

   静的 IP およびホスト名の設定を使用する場合、短縮名または FQDN を使用するかどうかは、計画したシステムのユースケースによって異なります。Red Hat Identity Management はプロビジョニング時に FQDN を設定しますが、サードパーティーのソフトウェア製品によっては短縮名が必要になる場合があります。いずれの場合も、すべての状況で両方のフォームの可用性を確保するには、IP FQDN short-alias の形式で /etc/hosts にホストのエントリーを追加します。

8. Apply をクリックして、ホスト名をインストーラー環境に適用します。
9. また、ネットワークおよびホスト名 画面では、ワイヤレスオプションを選択できます。右側のペインで ネットワークの選択 をクリックして Wifi 接続を選択します。必要に応じてパスワードを入力し、完了 をクリックします。

手順

1. NetworkManager 接続プロファイルをリストします。

   # nmcli connection show
   NAME                UUID                                  TYPE      DEVICE
   Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

   Copy to Clipboard

   デフォルトでは、NetworkManager はホスト内の各 NIC のプロファイルを作成します。この NIC を特定のネットワークにのみ接続する予定がある場合は、自動作成されたプロファイルを調整してください。この NIC をさまざまな設定のネットワークに接続する予定がある場合は、ネットワークごとに個別のプロファイルを作成してください。

2. 追加の接続プロファイルを作成する場合は、次のように実行します。

   # nmcli connection add con-name <connection-name> ifname <device-name> type ethernet

   Copy to Clipboard

   既存のプロファイルを変更するには、この手順をスキップしてください。

3. オプション: 接続プロファイルの名前を変更します。

   # nmcli connection modify "Wired connection 1" connection.id "Internal-LAN"

   Copy to Clipboard

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

4. 接続プロファイルの現在の設定を表示します。

   # nmcli connection show Internal-LAN
   ...
   connection.interface-name:     enp1s0
   connection.autoconnect:        yes
   ipv4.method:                   auto
   ipv6.method:                   auto
   ...

   Copy to Clipboard

5. IPv4 を設定します。

   • DHCP を使用するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv4.method auto

     Copy to Clipboard

     ipv4.method がすでに auto (デフォルト) に設定されている場合は、この手順をスキップしてください。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、DNS サーバー、および検索ドメインを設定するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com

     Copy to Clipboard

6. IPv6 設定を行います。

   • ステートレスアドレス自動設定 (SLAAC) を使用するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv6.method auto

     Copy to Clipboard

     ipv6.method がすでに auto (デフォルト) に設定されている場合は、この手順をスキップしてください。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、DNS サーバー、および検索ドメインを設定するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv6.method manual ipv6.addresses 2001:db8:1::fffe/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com

     Copy to Clipboard

7. プロファイルの他の設定をカスタマイズするには、次のコマンドを使用します。

   # nmcli connection modify <connection-name> <setting> <value>

   Copy to Clipboard

   値はスペースまたはセミコロンで引用符で囲みます。

8. プロファイルをアクティブ化します。

   # nmcli connection up Internal-LAN

   Copy to Clipboard

検証

1. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

3. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

4. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

5. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. 接続に使用するネットワークデバイス名がわからない場合は、使用可能なデバイスを表示します。

   # nmcli device status
   DEVICE     TYPE      STATE                   CONNECTION
   enp1s0     ethernet  unavailable             --
   ...

   Copy to Clipboard

2. nmtui を開始します。

   # nmtui

   Copy to Clipboard
3. Edit a connection 選択し、Enter を押します。

4. 新しい接続プロファイルを追加するか、既存の接続プロファイルを変更するかを選択します。

   • 新しいプロファイルを作成するには、以下を実行します。

     1. Add を押します。
     2. ネットワークタイプのリストから Ethernet を選択し、Enter を押します。
   • 既存のプロファイルを変更するには、リストからプロファイルを選択し、Enter を押します。

5. オプション: 接続プロファイルの名前を更新します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

6. 新しい接続プロファイルを作成する場合は、ネットワークデバイス名を connection フィールドに入力します。

7. 環境に応じて、IPv4 configuration および IPv6 configuration 領域に IP アドレス設定を設定します。これを行うには、これらの領域の横にあるボタンを押して、次を選択します。

   • この接続に IP アドレスが必要ない場合は、Disabled にします。
   • DHCP サーバーが IP アドレスをこの NIC に動的に割り当てる場合は、Automatic にします。

   • ネットワークで静的 IP アドレス設定が必要な場合は、Manual にします。この場合、さらにフィールドに入力する必要があります。

     1. 設定するプロトコルの横にある Show を押して、追加のフィールドを表示します。

     2. Addresses の横にある Add を押して、IP アドレスとサブネットマスクを Classless Inter-Domain Routing (CIDR) 形式で入力します。

        サブネットマスクを指定しない場合、NetworkManager は IPv4 アドレスに /32 サブネットマスクを設定し、IPv6 アドレスに /64 サブネットマスクを設定します。

     3. デフォルトゲートウェイのアドレスを入力します。
     4. DNS servers の横にある Add を押して、DNS サーバーのアドレスを入力します。
     5. Search domains の横にある Add を押して、DNS 検索ドメインを入力します。

   図1.1 静的 IP アドレス設定によるイーサネット接続の例

   
8. OK を押すと、新しい接続が作成され、自動的にアクティブ化されます。
9. Back を押してメインメニューに戻ります。
10. Quit を選択し、Enter キーを押して nmtui アプリケーションを閉じます。

検証

1. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

3. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

4. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

5. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Ethernet connection profile with dynamic IP address settings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             - name: enp1s0
               interface_name: enp1s0
               type: ethernet
               autoconnect: yes
               ip:
                 dhcp4: yes
                 auto6: yes
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   dhcp4: yes

   DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てを有効にします。

   auto6: yes

   IPv6 自動設定を有効にします。デフォルトでは、NetworkManager はルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーに IPv6 アドレスと接頭辞を要求します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. ブラウザーで https://<ip_address_or_hostname>:9090 を開き、Web コンソールにログインします。
2. Overview ページの Health フィールドで、Not registered の警告をクリックするか、メインメニューの Subscriptions をクリックして、サブスクリプション情報を含むページに移動します。
3. Overview フィールドで、Register をクリックします。

4. Register system ダイアログで、登録方法を選択します。

   オプション: 組織の名前または ID を入力します。アカウントが Red Hat カスタマーポータルで複数の組織に所属している場合には、組織名または ID を追加する必要があります。組織 ID を取得する場合は、Red Hat のテクニカルアカウントマネージャーに確認してください。

5. システムを Red Hat Insights に接続しない場合は、Insights チェックボックスをオフにします。
6. Register をクリックします。

手順

1. 画面の右上隅からアクセスできる システムメニュー を開き、Settings をクリックします。

   

2. About → Subscription に移動します。

3. Red Hat Satellite を通じてシステムを登録する場合は、以下を実行します。

   1. Registration Server セクションで、Custom Address を選択します。
   2. URL フィールドにサーバーアドレスを入力します。
4. Registration Type セクションで、希望する登録方法を選択します。
5. Registration Details セクションに入力します。
6. Register をクリックします。

手順

1. sos パッケージをインストールするには、以下のコマンドを実行します。

   # dnf install sos

   Copy to Clipboard

2. レポートを生成します。

   # sosreport

   Copy to Clipboard

   オプションで、レポートを自動的に アップロード してサポートケースに添付するには、コマンドに--upload オプションを渡します。これにはインターネットアクセスとカスタマーポータル認証情報が必要です。

3. オプション: レポートをサポートケースに手動で添付します。

   詳細は、Red Hat ナレッジベースソリューション How can I attach a file to a Red Hat support case? を参照してください。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. 概要 で現在のシステム時間をクリックします。
3. System time をクリックします。
4. 必要に応じて、システム時間の変更 ダイアログボックスで、タイムゾーンを変更します。

5. Set Time ドロップダウンメニューで、以下のいずれかを選択します。

   手動

   NTP サーバーなしで手動で時間を設定する必要がある場合は、このオプションを使用します。

   NTP サーバーの自動使用

   これはデフォルトのオプションで、既存の NTP サーバーと時間を自動同期します。

   特定の NTP サーバーの自動使用

   このオプションは、システムを特定の NTP サーバーと同期する必要がある場合に限り使用してください。サーバーの DNS 名または IP アドレスを指定します。

6. Change をクリックします。

手順

1. オプション: 現在のシステムロケール設定を表示します。

   # localectl status
   System Locale: LANG=en_US.UTF-8
   	VC Keymap: de-nodeadkeys
      X11 Layout: de
     X11 Variant: nodeadkeys

   Copy to Clipboard

2. 利用可能なシステムロケール設定をリスト表示します。

   $ localectl list-locales
   C.UTF-8
   ...
   en_US.UTF-8
   en_ZA.UTF-8
   en_ZW.UTF-8
   ...

   Copy to Clipboard
3. システムのロケール設定を更新します。

手順

1. 利用可能なキーマップをリスト表示するには、以下を実行します。

   $ localectl list-keymaps
   ANSI-dvorak
   al
   al-plisi
   amiga-de
   amiga-us
   ...

   Copy to Clipboard

2. キーマップ設定の現在のステータスを表示するには、次のコマンドを実行します。

   $ localectl status
   ...
   VC Keymap: us
   ...

   Copy to Clipboard

3. デフォルトのシステムキーマップを設定または変更します。以下に例を示します。

   # localectl set-keymap us

   Copy to Clipboard

手順

1. 現在使用されているフォントファイルを表示します。

   # cat /etc/vconsole.conf
   
   FONT="eurlatgr"

   Copy to Clipboard

2. 利用可能なフォントファイルをリスト表示します。

   # ls -1 /usr/lib/kbd/consolefonts/*.psfu.gz
   
   /usr/lib/kbd/consolefonts/eurlatgr.psfu.gz
   /usr/lib/kbd/consolefonts/LatArCyrHeb-08.psfu.gz
   /usr/lib/kbd/consolefonts/LatArCyrHeb-14.psfu.gz
   /usr/lib/kbd/consolefonts/LatArCyrHeb-16.psfu.gz
   /usr/lib/kbd/consolefonts/LatArCyrHeb-16+.psfu.gz
   /usr/lib/kbd/consolefonts/LatArCyrHeb-19.psfu.gz

   Copy to Clipboard

   お使いの文字セットとコードページをサポートするフォントファイルを選択します。

3. オプション: フォントファイルをテストするには、一時的に読み込みます。

   # setfont LatArCyrHeb-16.psfu.gz

   Copy to Clipboard

   setfont ユーティリティーによってフォントファイルが直ちに適用されます。再起動するか別のフォントファイルを適用するまで、ターミナルで新しいフォントサイズが使用されます。

4. /etc/vconsole.conf で定義されたフォントファイルに戻すには、パラメーターなしで setfont と入力します。

5. /etc/vconsole.conf ファイルを編集し、FONT 変数を、RHEL が起動時にロードするフォントファイルに設定します。次に例を示します。

   FONT=LatArCyrHeb-16

   Copy to Clipboard

6. ホストを再起動します。

   # reboot

   Copy to Clipboard

手順

1. ECDSA 鍵ペアを生成します。

   $ ssh-keygen -t ecdsa
   Generating public/private ecdsa key pair.
   Enter file in which to save the key (/home/<username>/.ssh/id_ecdsa):
   Enter passphrase (empty for no passphrase): <password>
   Enter same passphrase again: <password>
   Your identification has been saved in /home/<username>/.ssh/id_ecdsa.
   Your public key has been saved in /home/<username>/.ssh/id_ecdsa.pub.
   The key fingerprint is:
   SHA256:Q/x+qms4j7PCQ0qFd09iZEFHA+SqwBKRNaU72oZfaCI <username>@<localhost.example.com>
   The key's randomart image is:
   +---[ECDSA 256]---+
   |.oo..o=++        |
   |.. o .oo .       |
   |. .. o. o        |
   |....o.+...       |
   |o.oo.o +S .      |
   |.=.+.   .o       |
   |E.*+.  .  . .    |
   |.=..+ +..  o     |
   |  .  oo*+o.      |
   +----[SHA256]-----+

   Copy to Clipboard

   パラメーターなしで ssh-keygen コマンドを使用して RSA 鍵ペアを生成することも、ssh-keygen -t ed25519 コマンドを入力して Ed25519 鍵ペアを生成することもできます。Ed25519 アルゴリズムは FIPS-140 に準拠しておらず、FIPS モードでは OpenSSH は Ed25519 鍵で機能しないことに注意してください。

2. 公開鍵をリモートマシンにコピーします。

   $ ssh-copy-id <username>@<ssh-server-example.com>
   /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
   <username>@<ssh-server-example.com>'s password:
   …
   Number of key(s) added: 1
   
   Now try logging into the machine, with: "ssh '<username>@<ssh-server-example.com>'" and check to make sure that only the key(s) you wanted were added.

   Copy to Clipboard

   <username>@<ssh-server-example.com> は、認証情報に置き換えます。

   セッションで ssh-agent プログラムを使用しない場合は、上記のコマンドで、最後に変更した ~/.ssh/id*.pub 公開鍵をコピーします (インストールされていない場合)。別の公開キーファイルを指定したり、ssh-agent により、メモリーにキャッシュされた鍵よりもファイル内の鍵の方が優先順位を高くするには、-i オプションを指定して ssh-copy-id コマンドを使用します。

手順

1. テキストエディターで /etc/ssh/sshd_config 設定を開きます。以下に例を示します。

   # vi /etc/ssh/sshd_config

   Copy to Clipboard

2. PasswordAuthentication オプションを no に変更します。

   PasswordAuthentication no

   Copy to Clipboard
3. 新しいデフォルトインストール以外のシステムでは、PubkeyAuthentication パラメーターが設定されていないか、yes に設定されていることを確認します。

4. KbdInteractiveAuthentication ディレクティブを no に設定します。

   設定ファイル内では対応するエントリーがコメントアウトされていること、およびデフォルト値が yes であることに注意してください。

5. NFS がマウントされたホームディレクトリーで鍵ベースの認証を使用するには、SELinux ブール値 use_nfs_home_dirs を有効にします。

   # setsebool -P use_nfs_home_dirs 1

   Copy to Clipboard
6. リモートで接続している場合は、コンソールもしくは帯域外アクセスを使用せず、パスワード認証を無効にする前に、鍵ベースのログインプロセスをテストします。

7. sshd デーモンを再読み込みし、変更を適用します。

   # systemctl reload sshd

   Copy to Clipboard

手順

1. セッションで ssh-agent を自動的に起動するためのコマンドを ~/.bashrc ファイルに追加します。

   1. 任意のテキストエディターで ~/.bashrc を開きます。次に例を示します。

      $ vi ~/.bashrc

      Copy to Clipboard

   2. 以下の行をファイルに追加します。

      eval $(ssh-agent)

      Copy to Clipboard
   3. 変更を保存し、エディターを終了します。

2. ~/.ssh/config ファイルに次の行を追加します。

   AddKeysToAgent yes

   Copy to Clipboard

   セッションでこのオプションを使用して ssh-agent が起動されると、エージェントはホストに初めて接続するときにのみパスワードを要求します。

手順

1. PKCS #11 の URI を含む OpenSC PKCS #11 モジュールが提供する鍵のリストを表示し、その出力を keys.pub ファイルに保存します。

   $ ssh-keygen -D pkcs11: > keys.pub

   Copy to Clipboard

2. 公開鍵をリモートサーバーに転送します。ssh-copy-id コマンドを使用し、前の手順で作成した keys.pub ファイルを指定します。

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

   Copy to Clipboard

3. ECDSA 鍵を使用して <ssh-server-example.com> に接続します。鍵を一意に参照する URI のサブセットのみを使用することもできます。次に例を示します。

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard

   OpenSSH は p11-kit-proxy ラッパーを使用し、OpenSC PKCS #11 モジュールが p11-kit ツールに登録されているため、前のコマンドを簡略化できます。

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard

   PKCS #11 の URI の id= の部分を飛ばすと、OpenSSH が、プロキシーモジュールで利用可能な鍵をすべて読み込みます。これにより、必要な入力の量を減らすことができます。

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard

4. オプション: ~/.ssh/config ファイルで同じ URI 文字列を使用して、設定を永続的にすることができます。

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard

   ssh クライアントユーティリティーが、この URI とスマートカードの鍵を自動的に使用するようになります。

手順

1. root で /etc/sudoers ファイルを開きます。

   # visudo

   Copy to Clipboard

   /etc/sudoers ファイルは、sudo コマンドで適用されるポリシーを定義します。

2. /etc/sudoers ファイルで、wheel 管理グループのユーザーに sudo アクセスを付与する行を見つけます。

   ## Allows people in group wheel to run all commands
   %wheel        ALL=(ALL)       ALL

   Copy to Clipboard
3. %wheel で始まる行が番号記号 (#) でコメントアウトされていないことを確認してください。
4. 変更を保存し、エディターを終了します。

5. sudo アクセスを付与するユーザーを、wheel 管理グループに追加します。

    # usermod --append -G wheel <username>

   Copy to Clipboard

   <username> は、ユーザー名に置き換えます。

手順

1. /etc/sudoers.d ディレクトリーに新規ファイルを作成します。

   # visudo -f /etc/sudoers.d/<filename>

   Copy to Clipboard

   ファイルがエディターで自動的に開きます。

2. 次の行を /etc/sudoers.d/<filename> ファイルに追加します。

   <username> <hostname.example.com> = (<run_as_user>:<run_as_group>) <path/to/command>

   Copy to Clipboard
   • <username> は、ユーザー名に置き換えます。
   • <hostname.example.com> は、ホストの URL に置き換えます。
   • (<run_as_user>:<run_as_group>) は、コマンドの実行許可に関連するユーザーまたはグループに置き換えます。このセクションを省略すると、<username> は root としてコマンドを実行できます。
   • <path/to/command>は、コマンドへの完全な絶対パスに置き換えます。また、コマンドパスの後にオプションを追加することにより、特定のオプションおよび引数を指定したコマンドのみを実行するようにユーザーを制限することもできます。オプションを指定しないと、すべてのオプションが有効な状態でコマンドを使用できます。
   • 同じホストで 2 つ以上のコマンドを 1 行で許可するには、コンマで区切り、コンマの後にスペースを付けることができます。

1. オプション: ユーザーが sudo 権限を使用しようとするたびにメール通知を受け取るには、ファイルに次の行を追加します。

   Defaults    mail_always
   Defaults    mailto="<email@example.com>"

   Copy to Clipboard
2. 変更を保存し、エディターを終了します。

検証

1. ユーザーが sudo 特権でコマンドを実行できるかどうかを確認するには、アカウントを切り替えます。

   # su <username> -

   Copy to Clipboard

2. ユーザーとして、sudo コマンドを使用してコマンドを入力します。

   $ sudo whoami
   [sudo] password for <username>:

   Copy to Clipboard

   ユーザーの sudo パスワードを入力します。

3. 権限が正しく設定されている場合、sudo は設定されたユーザーとしてコマンドを実行します。たとえば、dnf コマンドを使用すると、次の出力が表示されます。

   ...
   usage: dnf [options] COMMAND
   ...

   Copy to Clipboard

   システムから次のエラーメッセージが返された場合、sudo を使用してコマンドを実行することがユーザーに許可されていません。

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: "Configure sudo"
     hosts: managed-node-01.example.com
     tasks:
       - name: "Apply custom /etc/sudoers configuration"
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.sudo
         vars:
           sudo_sudoers_files:
             - path: "/etc/sudoers"
               user_specifications:
                 - users:
                     - <user_name>
                   hosts:
                     - <host_name>
                   commands:
                     - <path_to_command_binary>

   Copy to Clipboard

   Playbook で指定する設定は次のとおりです。

   users

   ルールを適用するユーザーのリスト。

   hosts

   ルールを適用するホストのリスト。すべてのホストの場合は ALL を使用できます。

   commands

   ルールを適用するコマンドのリスト。すべてのコマンドの場合は ALL を使用できます。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.sudo/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

検証

1. 管理対象ノードで、Playbook によって新しいルールが適用されたことを確認します。

   # cat /etc/sudoers | tail -n1
   <user_name> <host_name>= <path_to_command_binary>

   Copy to Clipboard

手順

1. 対話モードでコマンドラインユーティリティー chronyc を使用して、chronyd のローカルインスタンスを変更するには、root で以下のコマンドを実行します。

   # chronyc

   Copy to Clipboard

   制限されているコマンドを使用する場合は、root で chronyc を実行する必要があります。

   以下のように、chronyc コマンドプロンプトが表示されます。

   chronyc>

   Copy to Clipboard
2. コマンドのリストを表示するには、help と入力します。

3. 以下のように、コマンドと合わせて呼び出した場合には、非対話的なコマンドモードでユーティリティーを呼び出すこともできます。

   chronyc command

   Copy to Clipboard